Wszelkie prawa zastrzeżone. Nieautoryzowane rozpowszechnianie całości lub fragmentu niniejszej publikacji w jakiejkolwiek postaci jest zabronione. Wykonywanie kopii metodą kserograficzną, fotograficzną, a także kopiowanie książki na nośniku filmowym, magnetycznym lub innym powoduje naruszenie praw autorskich niniejszej publikacji. Wszystkie znaki występujące w tekście są zastrzeżonymi znakami firmowymi bądź towarowymi ich właścicieli. Autor oraz Wydawnictwo HELION dołożyli wszelkich starań, by zawarte w tej książce informacje były kompletne i rzetelne. Nie biorą jednak żadnej odpowiedzialności ani za ich wykorzystanie, ani za związane z tym ewentualne naruszenie praw patentowych lub autorskich. Autor oraz Wydawnictwo HELION nie ponoszą również żadnej odpowiedzialności za ewentualne szkody wynikłe z wykorzystania informacji zawartych w książce. Autorzy: Leszek Kępa, Paweł Tomasik, Sebastian Dobrzyński Redaktor prowadzący: Barbara Gancarz-Wójcicka Projekt okładki: Jan Paluch Fotografia na okładce została wykorzystana za zgodą Shutterstock.
Wydawnictwo HELION ul. Kościuszki 1c, 44-100 GLIWICE tel. 32 231 22 19, 32 230 98 63 e-mail: onepress@onepress.pl WWW: http://onepress.pl (księgarnia internetowa, katalog książek)
Drogi Czytelniku! Jeżeli chcesz ocenić tę książkę, zajrzyj pod adres http://onepress.pl/user/opinie/bezsec Możesz tam wpisać swoje uwagi, spostrzeżenia, recenzję. ISBN: 978-83-246-3873-4 Copyright © Helion 2012 Printed in Poland.
• Kup książkę • Poleć książkę • Oceń książkę
• Księgarnia internetowa • Lubię to! » Nasza społeczność
SPIS TRE CI
PRZEDMOWA
1.
2.
3.
4.
9
WST P
15
Podstawowe informacje o e-commerce Czego chc cyberprzest pcy? Podstawy bezpiecze stwa
18 21 24
PRAWO WOBEC E-COMMERCE
33
Jakie prawo dotyczy e-handlu? Regulamin serwisu wiadcz c us ugi drog elektroniczn Przetwarzanie danych osobowych Zawarcie umowy mi dzy stronami O czym nale y informowa Kodeks spó ek handlowych Prawo wobec cyberprzest pców
34 37 54 57 60 65 72 72
BEZPIECZE STWO OGÓLNE
77
Informacje o systemie Zapasowe kopie danych
78 82
BEZPIECZNY HOSTING
89
Hosting czy w asny serwer? DirectAdmin
89 90
ZABEZPIECZENIA SERWERA WWW
97
Zabezpieczenia hosta Zabezpieczenia Apache
Kup książkę
98 102
Poleć książkę
6
5.
6.
|
BEZPIECZE STWO SYSTEMU E-COMMERCE
Konfiguracja PHP Zabezpieczenie kodu PHP Przegl danie logów Obs uga komunikatów 403, 404 etc. Zabezpieczanie plików konfiguracyjnych Tripwire Obrona przed atakami DoS — Fail2ban
108 116 117 118 119 120 122
BAZA DANYCH
125
Po czenie z baz Szyfrowanie danych
128 130
BEZPIECZNA TRANSMISJA DANYCH
133
Dlaczego warto szyfrowa ? Szyfrowanie komunikacji webowej A je li nie ma szans na SSL? Komunikacja przez e-mail Administrowanie poprzez sie Integralno danych podczas transmisji
7.
8.
9.
136 137 153 154 156 159
IDENTYFIKACJA STRON W BIZNESIE
165
Wiarygodny sprzedawca Zidentyfikowany u ytkownik
166 168
KONTA I HAS A
177
Data wprowadzenia danych Hasz zamiast has a Provisioning — zak adanie konta Cookies Sesje w aplikacji Sprawdzanie, czy po czenie odbywa si „po SSL” Autoryzacja transakcji
177 179 184 185 189 195 196
ZABEZPIECZENIA KODU APLIKACJI
197
Specyfika j zyka Jak przesy a dane — GET czy POST? Walidowanie danych przesy anych do serwera Zabezpieczenia przed automatami
198 198 201 208
Kup książkę
Poleć książkę
SPIS TRE CI
SQL injection File inclusions Ataki XSS Ataki CSRF i XSRF HTTP_REFERER Badanie kodu PHP
10. KODOWANIE DANYCH
|
7
212 222 226 230 232 233
235
ZAKO CZENIE
239
O AUTORACH
240
Kup książkę
Poleć książkę
8
|
BEZPIECZE STWO SYSTEMU E-COMMERCE
Kup książkę
Poleć książkę
Rozdzia 2.
BEZPIECZE STWO OGÓLNE
Wspomnieli my ju wcze niej, e zagadnienie bezpiecze stwa systemu e-commerce jest z o one. Sk ada si na nie: x bezpiecze stwo fizyczne serwerów, na których znajduje si aplikacja, serwer WWW, baza danych itd.; x zabezpieczenie systemów operacyjnych, w których s zainstalowane aplikacja, serwer WWW i baza danych; x takie bezpiecze stwo transmisji, aby danych w trakcie przesy ania nikt nie pods ucha ani nie zmieni ; x bezpiecze stwo serwera DNS i domeny — to, eby nikt nie ukrad „nazwy internetowej” serwisu ani nie przekierowa ruchu do innego, podrobionego systemu; x bezpiecze stwo aplikacji, a wi c takie jej utworzenie, aby nie mo na by o ni manipulowa ; x ci g o dzia ania, tj. takie zorganizowanie systemu i uzyskanie takiej jego odporno ci, aby nawet mimo ataku móg on dalej funkcjonowa lub wznowi aktywno ; x bezpiecze stwo organizacyjne, czyli procesy zwi zane z administrowaniem aplikacj , zarz dzanie zmianami i wszystko to, co jest dooko a systemu, a ma na niego (znacz cy) wp yw; x bezpiecze stwo prawne, a wi c zarz dzanie stanem zgodno ci z prawem.
Kup książkę
Poleć książkę
78
|
BEZPIECZE STWO SYSTEMU E-COMMERCE
Tutaj chcemy przedstawi najogólniejsze zagadnienia zwi zane z bezpiecze stwem systemu e-commerce.
INFORMACJE O SYSTEMIE Zapewne nieraz si zastanawia e , jak to si dzieje, e haker w ko cu „dopada” okre lon witryn . Mog by tego dwa g ówne powody. Pierwszy mo e by taki, e witryna jest s abo zabezpieczona i stanowi dla hakera atwy up — b dzie on móg jej zhakowanie wpisa do ewidencji swoich sukcesów. Drugi to celowy atak na w a nie ten, a nie inny serwis. Na pewno jednak nieod cznym elementem ka dego ataku jest rekonesans, czyli rozpoznanie. Odbywa si to zupe nie tak jak w „realu” — zanim z odziej przyst pi do dzia ania, obserwuje i zbiera informacje. Ka da informacja mo e by dla hakera przydatna, a szczególnie o: x systemie operacyjnym (rodzaj, wersja, uruchomione programy i us ugi); x bazie danych (rodzaj i wersja); x kodzie aplikacji; x chronionych cz ciach aplikacji; x konfiguracji i zabezpieczeniach systemu. Znajomo wersji oprogramowania pozwala hakerowi znale luki w zabezpieczeniach — przy odrobinie szcz cia mo e on trafi na wersj , w której nie zosta y one za atane. Do wyszukania luk zabezpiecze w okre lonej wersji oprogramowania haker mo e u y np. bazy CVE1. Ty z niej korzystasz, aby wiedzie , co jest dziurawe, i eby to zaktualizowa , a cyberprzest pcy u ywaj jej, aby mie informacje o tym, jakie systemy (i jakie ich wersje) „choruj ”, s podatne na atak. 1
https://cve.mitre.org/
Kup książkę
Poleć książkę
BEZPIECZE STWO OGÓLNE
|
79
Wiedza o rodzaju bazy danych pozwala z kolei dostosowa ataki polegaj ce na wstrzykiwaniu kodu SQL — ju sama ta informacja jest istotna, bo niektóre ataki s specyficzne dla rodzaju bazy danych, np. dzia aj w przypadku PostgreSQL, ale nie z MySQL. Nawet rodzaj j zyka, w którym napisano aplikacj , ma znaczenie. Sprawd my, jak mo e wygl da atak cyberprzest pcy, który dla zabawy chce spróbowa swoich si w hackingu. Pierwsze, co mo e on zrobi , to wpisanie w wyszukiwarce ci gu sql dorks. Oto przyk adowe ci gi tego typu: allinurl:showimg.php?id= allinurl:view.php?id= allinurl:website.php?id= allinurl:hosting_info.php?id= allinurl:gallery.php?id=
Haker kopiuje i wkleja jeden z nich do wyszukiwarki, a nast pnie otwiera strony b d ce wynikami wyszukiwania i przeprowadza rekonesans. Naj atwiej jest zacz od sprawdzenia, czy dany ci g (okre lany mianem SQL dorka) zadzia a. Przyk adowo http://www. witryna.com/gallery.php?id=1 zawiera SQL dork gallery.php?id=. Wystarczy w pasku adresowym na ko cu doda znak apostrofu i w wyniku otrzymujemy: Fatal error: Uncaught exception 'Exception' with message 'SQL Query failed: SELECT image,title,location,description,height,width from tblSCAImages WHERE id=83\\\'You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\\\'' at line 1' in /home/sca/wwwlib/gallery_lib.php:16 Stack trace: #0 /home/sca/www/gallery.php(21): sca_gallery_get_image_meta('83\'') #1 {main} thrown in /home/sca/wwwlib/gallery_lib.php on line 16
Mamy tu informacje o b dach i ju co wiemy o witrynie — wiemy, e jest to MySQL, a tak e o nazwach tabel i ich kolumn, o funkcjach PHP, a nawet o systemie plików. To si przyda. Sprawd my, jak witryna internetowa zareaguje na wpisanie b dnego
Kup książkę
Poleć książkę
80
|
BEZPIECZE STWO SYSTEMU E-COMMERCE
adresu strony http://www.witryna.com/coscokolwiek. Tu te otrzymujemy komunikat: Not Found The requested URL /coscokolwiek was not found on this server. Apache/2.2.3 (CentOS) Server at www.allspeedperformance.com Port 80
Znamy ju wersj serwera Apache. Zobaczmy jeszcze, jakie cz ci witryny s chronione. Wpiszmy http://www.witryna.com/ robots.txt. Otrzymamy: User-agent: * Disallow: /checkout/
To tylko przyk ad tego, jak mo na zacz . Dalej mo na „grzeba � w cookies, u y programu sqlmap, r cznie wstrzykiwa kod‌ Mo liwo ci jest wiele. To pokazuje, e ujawnianie zbyt wielu informacji mo e dzia a na szkod systemu, bo pozwala przeprowadzi rekonesans. Dla hakera mo e by przydatna w zasadzie ka da informacja, zadbaj wi c o to, aby nie wypuszcza na zewn trz komunikatów o b dach wraz z ich detalami oraz informacjami o wersji oprogramowania. Pozwala to hakerowi odnale s abe punkty danej wersji.
Jak wprowadzi hakera w b d Uwa amy, e skoro podstaw atakĂłw jest rekonesans, to mo e warto atakuj cego wyprowadzi w pole. Gdy wida wyra nie, e co jest porz dnie chronione, to pewnie jest warte tego, aby to ukra . Mo na to wykorzysta do stworzenia pu apki na cyberprzest pc . B dzie on d ugo ama zabezpieczenia, aby w efekcie uzyska dost p do nic nie wartych informacji lub uruchomi alarm informuj cy, e dzieje si co z ego. Takie rozwi zanie nazywa si z angielskiego honeypot. Tak pu apk mo na przyk adowo zastawi , korzystaj c z pliku robots.txt, ktĂłry s u y do zezwalania na indeksowanie lub
Kup ksiÄ…ĹźkÄ™
Poleć ksiąşkę
BEZPIECZE STWO OGÓLNE
|
81
do wykluczania z indeksowania tych cz ci witryny, na których przeszukiwanie nie chcemy pozwoli tzw. robotom (np. botowi indeksuj cemu strony dla Google). Plik ten znajduje si w roocie (katalogu g ównym) witryny, np. http://ecommerce/robots.txt. Mo na go u y do zmylenia przeciwnika, wpisuj c w nim fa szywe odniesienia, a nast pnie monitorowa te fa szywie podstawione punkty. User-agent: * Crawl-delay: 10 Disallow: /strona_administracyjna/ Disallow: /admin_password.txt
Inn mo liwo ci „wkr cania” atakuj cego jest wprowadzanie go w b d co do wykorzystanego oprogramowania. Przyk adowo po zmianie rozszerzenia i nag ówków kod PHP mo e udawa inny kod: <?php error_reporting(0); header("X-Powered-By: ASP.NET"); ?>
Nale y wtedy jeszcze pami ta , aby korzystaj c z session_name(), ustawi nazw sesji na przyk ad na SessionID, poniewa domy lne PHPSESSID od razu wskazuje na PHP.
Rewrite Parametry kategorii, subkategorii i rozmaitych podstron wyst puj ce w adresie URL mo na z atwo ci ukry , korzystaj c z mod_rewrite2. Je li Twój system prezentuje adres w postaci http://strona/news. php?kategoria=10&rodzaj=4, to mo na to zmieni , zapisuj c przyk adowo w .htaccess3 na serwerze nast puj cy ci g: 2
3
Coraz cz ciej pojawiaj si opinie, e modu ten umiarkowanie wp ywa na bezpiecze stwo, dlatego trzeba mie zainstalowan aktualn wersj i stosowa go ostro nie. Nazwa pliku .htaccess zaczyna si od kropki. Obecno kropki na pocz tku nazwy pliku (lub folderu) oznacza, e jest to plik (folder) ukryty.
Kup książkę
Poleć książkę
82
|
BEZPIECZE STWO SYSTEMU E-COMMERCE
RewriteEngine On RewriteRule ^([a-z0-9-_]+),([a-z0-9-_]+),([a-z0-9-_]+).html$ $1.php?kategoria=$2&rodzaj=$3 [L,NC,NS]
Zmienne $ z cyfr odpowiadaj poszczególnym nawiasom regu ki, natomiast ^ rozpoczyna, a $ ko czy wyra enie regularne. Jeszcze ciekawszy wydaje si zapis RewriteRule ^artykul/([0-9]+)_(.*)\.html$ articles.php?id=$1
W tym przyk adzie /artykul/24_wielka_wojna i /artykul/24_protesty_ ´acta zostan zamienione na /articles.php?id=24 (odniesienie $2 jest ignorowane). Jak widzisz, je li dobrze wykorzystasz ten modu , to ci gi sql-dork nie b d w serwisie widoczne.
ZAPASOWE KOPIE DANYCH Znamy osoby, które pisz c prac magistersk , nie wykona y zapasowej kopii danych. Po stracie plików (pó rocznej pracy) musia y napisa j w ci gu miesi ca. W takich przypadkach zwykli my artowa , e ludzie dziel si na tych, którzy robi kopie zapasowe, i na tych, którzy b d je robi . Bezpowrotna utrata danych jest jedn z najgorszych rzeczy, jakie si mog przedsi biorcy przydarzy — mo e to prowadzi nawet do bankructwa. Skradzione komputery mo na kupi , a danych niestety nie. W tej materii wiadomo nie jest jednak zbyt wysoka, a sam temat kopii zapasowych (zwanych backupami) staje si wa ny dopiero wtedy, gdy co si wydarzy. Tak samo jest w przypadku systemów e-commerce, szczególnie tych ma ych i rednich. Tymczasem ci g y i poprawny proces wykonywania kopii zapasowych oraz testowania, czy da si z nich odtworzy dane konieczne do prowadzenia biznesu, pozwala zminimalizowa ryzyko ich bezpowrotnej utraty. Wiedz to bez w tpienia ci, którzy interesuj si zagadnieniami zachowania ci g o ci dzia ania (tzw. BCM4). 4
BCM — ang. business continuity management.
Kup książkę
Poleć książkę
BEZPIECZE STWO OGĂ&#x201C;LNE
|
83
W jakiej sytuacji kopia danych mo e si przyda ? Chyba najlepiej odpowiedzie , e w ka dej: x awaria urz dze (najcz ciej ulegaj jej no niki danych â&#x20AC;&#x201D; dyski twarde); x b d ludzki, czyli utrata danych w wyniku niecelowego dzia ania pracownika (co si niechc cy usun o); x sabota â&#x20AC;&#x201D; utrata danych w wyniku celowego szkodliwego dzia ania na przyk ad niezadowolonego pracownika; x dzia anie wirusĂłw (oprogramowania z o liwego), ktĂłrych celem mo e by usuni cie b d zaszyfrowanie danych, aby uniemo liwi do nich dost p; x atak hakerĂłw, czyli celowe usuni cie, zmodyfikowanie czy zniszczenie danych. x kradzie sprz tu i utrata no nikĂłw danych; x zdarzenie losowe â&#x20AC;&#x201D; uszkodzenie sprz tu w wyniku przepi cia, zalania itp. Jedno z praw Murphyâ&#x20AC;&#x2122;ego mĂłwi, e je li co mo e pĂłj le, to z pewno ci pĂłjdzie le, wi c nie ma co liczy , e nic si nie zdarzy. Na pewno si zdarzy â&#x20AC;&#x201D; to tylko kwestia czasu.
Co nale y backupowa ? Przede wszystkim wykonuje si kopie zapasowe danych biznesowych. B d to bazy danych, pliki i katalogi serwisu e-commerce. W przypadku hostingu zajmuje si tym hostingodawca, ale je li serwery s w ca o ci pod Twoim w adaniem, to zadanie to spada na Ciebie (rysunek 2.1). Je li zarz dzasz ca ym systemem, niezb dny b dzie backup konfiguracji aplikacji, bazy danych, systemĂłw operacyjnych czy te urz dze sieciowych.
Kup ksiÄ&#x2026;ĹźkÄ&#x2122;
PoleÄ&#x2021; ksiÄ&#x2026;ĹźkÄ&#x2122;
84
|
BEZPIECZE STWO SYSTEMU E-COMMERCE
Rysunek 2.1. Hosting — mo liwo wykonania samodzielnie backupu z poziomu panelu hostingowego (DirectAdmin)
To, jak cz sto nale y wykonywa zapasow kopi danych biznesowych, zale y od systemu i jego specyfiki. Trzeba odpowiedzie sobie na pytanie o to, z jakiego okresu dane mog zosta utracone. Je li serwis jest ma o aktywny, to zapasowa kopia danych wykonywana raz na tydzie te mo e by dobra, jednak w przypadku aktywnych systemów na pewno powinna ona by tworzona codziennie. Pami taj, e serwisy pracuj ce w klastrze to nie backup; nie stanowi go te np. disk mirroring. Dane dotycz ce konfiguracji mo na backupowa nieco rzadziej, ale nale y to robi przed ka d zmian i po niej.
Kup książkę
Poleć książkę
BEZPIECZE STWO OGÓLNE
|
85
Je li chodzi o hosting, to wi kszo hostingodawców — je li nie wszyscy — tworzy zapasowe kopie danych i udost pnia je u ytkownikowi (rysunek 2.2).
Rysunek 2.2. Backup danych dost pny w us udze hostingu
W wi kszo ci przypadków dost pny jest tak e backup na danie. Przydaje si on na przyk ad przed dokonaniem w serwisie istotnych zmian, które s na tyle ryzykowne, e lepiej zapewni sobie kopi . Operacj tak jest cho by aktualizacja systemu czy zmiana struktury bazy danych. System informatyczny to nie cz owiek — wi kszo ci operacji nie powinno si wykonywa na „ ywym organizmie”. Kopia zapasowa mo e by niewiele warta, je eli oka e si , e zosta a nieprawid owo wykonana, dlatego okresowo nale y sprawdza , czy w kopii zapisane s potrzebne dane i czy da si je odtworzy . Za bardzo wa ne uwa amy to, aby backup by przechowywany tak e poza siedzib firmy, nawet w domu, je li zostan zapewnione odpowiednie warunki. Dzi ki temu w przypadku du ej awarii b dzie
Kup książkę
Poleć książkę
86
|
BEZPIECZE STWO SYSTEMU E-COMMERCE
mo liwe szybkie odtworzenie systemu na przyk ad na innym sprz cie i (lub) w innej lokalizacji. Kopia zapasowa danych zawiera wszystko to, co jest w oryginalnym rodowisku e-commerce, wi c mog aby by cenn zdobycz dla konkurencji. W zwi zku z tym backup powinien by chroniony na poziomie nie ni szym ni sam system e-commerce. Dost p do niego powinny mie tylko wybrane osoby. Dobrze by by o, aby dane na no nikach by y szyfrowane, szczególnie je eli maj by one przechowywane w domu. Zapewnienie tego jest akurat proste, bo ca y backup mo na zabezpieczy has em: ~# gpg -c backup.tar #zaszyfrowanie ~# gpg backup.tar.gpg #odszyfrowanie
Nawiasem mówi c, polecenie gpg domy lnie kompresuje dane przed szyfrowaniem. Wystarczaj ce jest te spakowanie danych do pliku ZIP i zabezpieczenie go has em. Dzi ki temu jest ma e ryzyko, e dane, za pomoc których mo na by utworzy „duplikat firmy”, wpadn w niepowo ane r ce. Warto te zauwa y , e do zabezpieczania plików mo na u y pakietu openssl. Przyk adem s nast puj ce polecenia do szyfrowania i (pó niej) odszyfrowywania danych: ~# openssl aes-128-cbc -salt -in plik.tar -out plik.tar.aes enter aes-128-cbc encryption password: Verifying - enter aes-128-cbc encryption password: ~# openssl aes-128-cbc -d -salt -in plik.tar.aes -out plik.tar
Mo na te zrobi to nieco inaczej — „starowa ” katalog, spakowa do pliku ZIP, pó niej zaszyfrowa : ~# tar -zcf - caly_katalog | openssl aes-128-cbc -salt -out caly_katalog.tar.gz.aes
a w ko cu odszyfrowa : ~# openssl aes-128-cbc -d -salt -in caly_katalog.tar.gz.aes | tar -xz -f -
Kup książkę
Poleć książkę
BEZPIECZE STWO OGÓLNE
|
87
Nie zalecamy u ywania opcji -k "has o" po wyra eniu aes-128-cbc — wtedy co prawda unikamy interaktywnego pytania o has o, ale prowadzi to do zapisania go na przyk ad w pliku .history5. Mo na te u y aes-256-cbc zamiast aes-128-cbc, je li jest potrzebne silniejsze szyfrowanie, ale naszym zdaniem rzadko kiedy jest to konieczne. Mówili my o backupie wszystkich danych, ale mo e si te zdarzy , e pracuj c na pojedynczych plikach (np. kodzie PHP), b dziesz w trakcie ich modyfikacji tworzy podr czne kopie zapasowe. Chodzi nam o ywy organizm, tj. dzia aj cy system e-commerce. Przyk adowo edytuj c plik dbconnect.inc, mo esz zrobi kopi tego pliku i zapisa j jako dbconnect.inc.old. Jest to bardzo niebezpieczne, gdy mo e si okaza , e o ile pliki *.inc serwer mo e blokowa przy u yciu dyrektywy <Files "*.inc">, to mo e tego nie robi dla plików *.old czy *.backup. Wtedy atakuj cy b dzie móg je odczyta przez przegl dark , wpisuj c na przyk ad adres http://ecommerce/ dbconnect.inc.old. Powiniene wi c doda do konfiguracji webserwera odpowiedni dyrektyw i konsekwentnie trzyma si nazewnictwa takich „backupów” tymczasowych (podr cznych).
Backup hase Has o mo na zapomnie , wi c je te warto w pewien sposób backupowa , czyli zapisywa . Najlepiej u y to tego oprogramowania — nie zalecamy przechowywania hase w postaci jawnej w notesach, na „ ó tych karteczkach” etc. Korzy ci zwi zane z ich zapisywaniem z u yciem elektronicznego sejfu s do du e — mo esz tworzy unikalne, z o one has a dla ka dego serwisu i nie przejmowa si tym, e je zapomnisz. Elektroniczny sejf to po prostu zaszyfrowany plik z has ami; pisali my ju wcze niej o programie KeePass. Musisz mie jego backup! Najlepiej mie ich kilka 5
W pliku .history przechowywana jest historia wszystkich polece wydawanych w oknie terminalu.
Kup książkę
Poleć książkę
88
|
BEZPIECZE STWO SYSTEMU E-COMMERCE
i w ró nych miejscach — wtedy prawdopodobie stwo jednoczesnej utraty ich wszystkich jest niewielkie. Piszemy o tym, bo przy tworzeniu has a na przyk ad do po czenia z baz systemu e-commerce niekiedy brakuje nam fantazji. KeePass „wymy li” has o za Ciebie (rysunek 2.3), a poniewa jednocze nie je zachowa, nie b dziesz musia przejmowa si tym, jakie ono jest, i b dziesz móg pozwoli sobie na to, by by o hardcore’owe — d ugie i wr cz niemo liwe do zapami tania. Zalecamy, aby tworzy z u yciem tego programu przede wszystkim has a administracyjne (a najlepiej wszystkie).
Rysunek 2.3. Generowanie hase przy u yciu programu KeePass
Na koniec warto jeszcze wspomnie o tym, e plik z has ami powinien by zabezpieczony porz dnym has em i przechowywany poza serwerem, na którym znajduje si Twoja aplikacja.
Kup książkę
Poleć książkę
Kup książkę
Poleć książkę